Una empresa puede contar con respaldos diarios, contratar a un proveedor especializado y disponer de un plan de continuidad aprobado por la gerencia. Sin embargo, mientras no haya comprobado que sus sistemas pueden recuperarse dentro de un plazo compatible con las necesidades del negocio, seguirá sin conocer una de las variables que determinan su capacidad para enfrentar una interrupción: cuánto tiempo puede operar sin ellos y qué consecuencias tendría esa detención.
Esta incertidumbre convierte la recuperación tecnológica en una materia que trasciende al área informática, puesto que exige establecer prioridades, asignar recursos y determinar qué nivel de interrupción puede tolerar la organización. La facturación, la atención de clientes, la gestión de inventarios y el acceso a información crítica tienen efectos distintos sobre la operación, por lo que identificar los procesos esenciales constituye una condición previa para definir objetivos de recuperación realistas.
Esos objetivos deben traducirse en plazos verificables y límites aceptables de pérdida de información, contrastados con las capacidades efectivas de la empresa. La existencia de un respaldo, por ejemplo, no garantiza que los datos estén completos ni que puedan restaurarse oportunamente. Basta que una aplicación dependa de otro sistema afectado, que falte una credencial o que el proveedor sufra la misma contingencia. En cualquiera de estos escenarios, recuperar archivos no equivale necesariamente a restablecer un servicio operativo.
Las pruebas de recuperación permiten identificar estas brechas antes de que una contingencia las convierta en un problema para el negocio. Además de medir los tiempos efectivos de restauración, permiten comprobar si los responsables conocen sus funciones, si los proveedores cumplen los compromisos adquiridos y si existen criterios definidos para priorizar la reanudación de las actividades. Sus resultados permiten corregir lo que, en el diseño, parecía suficiente.
La preparación requiere, por tanto, responsabilidades diferenciadas y coordinadas. Los equipos técnicos deben implementar y verificar las soluciones; las áreas de negocio, establecer las prioridades de sus procesos; la gerencia, articular los recursos y las decisiones operativas, mientras que el directorio debe supervisar los riesgos que comprometen la continuidad y evaluar si las capacidades disponibles son coherentes con las necesidades de la empresa.
Esta evaluación también debe considerar las dependencias externas. La operación puede estar condicionada por una plataforma en la nube, un operador de telecomunicaciones o un proveedor que concentra información esencial. Contratar estos servicios no transfiere por completo el riesgo asociado a su indisponibilidad, por lo que conocer las alternativas de recuperación y las limitaciones de cada relación forma parte de la supervisión empresarial.
La continuidad operacional depende de pruebas cuyos resultados permitan conocer las capacidades reales de la organización. Por eso, al revisar esta materia, el directorio debería contar con una respuesta documentada sobre cuándo se probaron por última vez los sistemas críticos, qué tiempos de recuperación se alcanzaron, qué fallas se detectaron y qué medidas correctivas se adoptaron.
Un plan aprobado acredita una previsión formal. Si esa previsión puede cumplirse, solo lo dirá una prueba documentada, y ese es el antecedente que el directorio necesita para evaluar el riesgo.
Juan Pablo López Maluenda
Fundador de Ciberlegal
